Content-Disposition の filename という地雷。 (1個の観点で17個の脆弱性を見つけた話) - ぶるーたるごぶりん
English ver: https://gist.github.com/motoyasu-saburi/1b19ef18e96776fe90ba1b9f910fa714#file-lack_escape_content-disposition_filename-md TL;DR 1つのブラウザ、1つのプログラミング言語、15個の { Web Framework, HTTP Client ライブラリ, Email ライブラリ / Web Service 等} で脆弱性を見つけました。 見つけた脆弱性は、全て 1つの観点で発見した (多分 50-80 くらいのプロダクトの調査をした)。 RFC の記載では、（かなりわかりにくく）この問題に対する要件が記載されており、WHATWG > HTML Spec の方はしっかりと書かれているといった状況にある。 この問題は、 Content-Dispo
OpenAPI定義に沿ってバリデーションをしてくれるGoのライブラリを書いた - Sexually Knowing
GitHub - aereal/go-openapi3-validation-middleware: net/http middleware to validate HTTP requests/responses against OpenAPI 3 schema using kin-openapi. kin-openapiというOpenAPI 3定義を読んでリクエスト・レスポンスのバリデーションをしてくれるGoのライブラリがあるんだけど微妙に使い勝手が悪い。 素朴に使おうとするとHTTPハンドラ内でバリデーションに関するコードを書く必要があって関心を分離させるという目的を果たすにはちょっと弱いし、得られたエラーを一貫して取り扱うにはエラーをHTTPレスポンスに加工して返すところまで一気通貫で取り扱いたい。 Goでnet/httpを使ってHTTPサーバを書く時は、RackやPlackのように
Unicode Characters in URLs
™ resolves to http://tm.org/ ª resolves to http://a.org/ ² resolves to http://2.org/ ³ resolves to http://3.org/ ¹ resolves to http://1.org/ º resolves to http://o.org/ ß resolves to http://ss.org/ IJ resolves to http://ij.org/ ij resolves to http://ij.org/ ſ resolves to http://s.org/ LJ resolves to http://lj.org/ Lj resolves to http://lj.org/ lj resolves to http://lj.org/ NJ resolves to http://nj.
https時代のgitアカウントを使い分ける方法
セキュリティアナウンス 当記事ではcredential helperを利用した方法を紹介していますが、Gitに脆弱性(CVE-2020-5260)が発見されました。 修正パッチが適用されていない古いGitを使用している環境下では危険ですので、まずGitのバージョンアップグレードをしてください。 2020/04/18時点で修正パッチが適用されているバージョンは以下です。これより古いバージョンを使っている場合は気をつけてください。 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1 時代はhttps https://help.github.com/articles/set-up-git/ GitHubではhttps推奨になっているし… httpsのほうがclone速度はやいし… まとめに書
HTTP プロトコルから CD-ROM トレイを取り出せる Firefox 拡張機能 - hogehoge @teramako
Webサーバを立てると良く CD-ROM を取り出したくなりますよね。 ならないとしたら、今すぐこの記事を読むのをやめて病院に行って下さい。 https://gist.github.com/4634841 追記:セキュリティリスクがあることが判明しました！ <img src="http://localhost:8090/eject..."> 訪れたページに上記のようなものがあると勝手にejectされてしまうかもしれません！！！ ejectすると何らかのピタゴラスイッチにより自爆する装置がある人は注意しましょう！！！！ 経緯 始まりはGigazineでも見てもらうとして、 Firefoxでも。アドオンとして動作するHTTPサーバ「fxHttpd」|オープンソース・ソフトウェア、ITニュースを毎日紹介するエンジニア、デザイナー向けブログに自分が作っている、fxHttpd[GitHub] が紹介
iOS でテスト容易な設計を
実現するためのデザインパターン
https://orecon.connpass.com/event/63769/
Go で書かれた API Gateway "KrakenD" - tchsskのブログ
これは Go3 Advent Calendar 2017 の 10 日目の記事です。 小さな役割を持つサービス群でアプリケーションを構成する、いわゆる Microservices が流行して久しいですね。サービスが細かく分割されるとき、それらを取りまとめるサービスが必要になることがあります。一般に API Gateway や API Aggregator と呼ばれるものです。 そんな API Gateway のひとつに Go で書かれた KrakenD というものがあります。 KrakenD - Open source API Gateway 今回はこれを試してみます。 仕様 複数のバックエンド API を集約 (aggregate) する動きを見るため、以下のような仕様でサービスを構築してみます。 バックエンドに GitHub と Qiita の Web API を使用する Kraken
npmで成果物をsemantic-release :rocket:
npmで成果物をsemantic-release :rocket: 目的: npmで単独のJSONファイルを配布したい 例) 辞書ファイル、更新頻度が高いファイル 最終的にやりたいこと npm installして npm install technical-word-rules requireするだけで辞書ファイルをJavaScriptから使いたい var json = require("technical-word-rules"); // 辞書ファイルを使えるようにしたい 方法1: install hook npmのpacakage.jsonにはinstall時に行う挙動を書くことが出来る "scripts": { "install": "node install-hook.js" }, npm install technical-word-rulesするとinstall-hook.js
サブスタックがFetchの仕様についてガチギレしてるのでまとめた.md
サブスタックがFetchの仕様についてガチギレしてるのでまとめた.md Fetch API、これ前に戻ってるだろ、chunk化する事もできないし、全てbufferしちゃうじゃん Fetch APIただのTrendyなAPIっぽく見せてるだけで上辺だけ変わって何も新しい事ない incrementalなchunkに基づく全二重通信可能な(full duplex)httpがあれば、streamでそれをまとめられるのに @domenic このゴミみたいなAPIがどこから来たのか分かる？そんでなんで全部のレスポンスバッファしちゃうの？ @substack response.json()とresponse.body() はstreamにする予定だから、もう少し待ってよ、、、 @domenic なんでそんな .json とか .bodyみたいなのがいるの？ textはどうなったの一番統一のインタフェース
人間とウェブの未来 - 軽量な静的コンテンツ配信におけるHTTP/2とSPDYのWebサーバの性能を見てみよう
人間とウェブの未来（旧） 「ウェブの歴史は人類の歴史の繰り返し」という観点から色々勉強しています。2014年までの人間とウェブの未来の旧ブログです。 既存のHTTPやWebサーバの技術を見ているものとして、新しい技術も調査しておかないといけないなということで、今日はHTTP/2とSPDYでおしゃべり可能なWebサーバの性能を見てみたいと思います。 HTTP/2の実装としては、tatsuhiro-tさんのC言語実装ライブラリであるnghttp2に注目しており、今日はそのライブラリを使って実装されているWebサーバnghttpdを動かし、SPDY/3.1で動作しているnginxとの性能比較をしました。HTTP/2やSPDY/3.1はもちろんクライアント側も既存のベンチマークツールではおしゃべりできないので、nghttp2で実装されているh2loadを使用しました。weighttpと使い方が似て
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - gsi-cyberjapan/gsimaps: The source of GSI Maps (https://maps.gsi.go.jp/)
シングルバイナリにこだわる - AWS Lambda編 / Nature Bath vol.6
Node 10 ... 12 ... 14 のアップデートメモ
https://blog.ssrf.in/post/example-of-attack-on-gce-and-gke-instance-using-ssrf-vulnerability/
SIerもはじめる わたしたちのDevOps #jjug_ccc
計画する技術 / Planning is Skill
モナバコ脆弱性報奨金制度で認定された401インジェクション
GitHub - Raathigesh/atmo: :heavy_check_mark: Mock data for your prototypes and demos. Remote deployments to Zeit now.
GitHub - react-ui-builder/structor: Structor - React UI Builder [DEPRECATED]![GitHub - react-ui-builder/structor: Structor - React UI Builder [DEPRECATED]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1a2032dabe605f70cd9a7a45bdfe7367e60830b5/height=288;version=1;width=512/https%3A%2F%2Fopengraph.githubassets.com%2Fd7d9565d4317061c74ee5b6f1586691efd68d3d1d69d2f4b3e15cbb3b92f6e06%2Freact-ui-builder%2Fstructor)
GitHub - cookpad/kage: Kage (kah-geh) is a shadow proxy server to duplex HTTP requests